设为首页收藏本站
ORF反垃圾邮件系统

邮件服务器-邮件系统-邮件技术论坛(BBS)

 找回密码
 会员注册

QQ登录

只需一步,快速开始

查看: 9879|回复: 7

checkpoint安装

  [复制链接]
发表于 2003-6-29 08:52:59 | 显示全部楼层 |阅读模式
<br>
<br>
·安装流程: <br>
<br>
Firewall-1提供的Check Point管理软件不能在Linux系统上运行。目前的版本仅支持 Windows NT、Windows 2000和一些UNIX系统(例如Solaris)。因此,要使用Firewall-1, 需要另增一台计算机作为管理工作站。Firewall-1 for Solaris管理软件工作得并不好,所 以我个人推荐使用基于Windows NT或Windows 2000版本的管理软件。虽然Firewall-1管理软 件包含在同一张光盘上,但它必须与Firewall网关软件分开独立安装。 <br>
快速提示:我几乎对我所有的Red Hat Linux系统安装都使用kickstart build。kickstart 安装让我能够从一个包含了所有升级更新的Red Hat安装目录进行快速安装,而且不需要参 与到安装过程--所有安装问题的回答都已在kickstart的配置文件中了。关于kickstart的 更多信息请访问以下链接文档: <br>
<a target=_blank href=http://www.linux.com/howto/KickStart-HOWTO.html>http://www.linux.com/howto/KickStart-HOWTO.html</a> <br>
<a target=_blank href=http://www.redhat.com/support/manuals/RHL-7-Manual/ref-guide/ch-kickstart2.html>http://www.redhat.com/support/manuals/RHL-7-Manual/ref-guide/ch-kickstart2.html</a> <br>
通常说来,安装Firewall-1的Linux系统的分区需求如下: <br>
* /(根分区),根分区包含了基本的系统结构。空间大约为100-200MB。<br>
* swap(交换分区)。这应该和系统内存大小差不多。 <br>
* 建议设置独立的/usr分区。/usr是Red Hat Linux系统安装大多数应用程序的目录。为 /usr分区大约需预留1GB的空间。 <br>
* 设置独立的/var分区也有一定帮助。大多数的动态数据,例如spool文件、日志文件等, 都存放在这里。但是在Linux系统中安装Firewall-1时,Firewall-1的日志文件是存放到 /opt,而不是/var目录下。因此为/var分区预留200MB或稍大一些的空间就基本足够了。<br>
* 由于Firewall-1缺省被安装到/opt目录下。该目录包含了Firewall-1软件程序、配置文件 和日志文件等。对于Firewall-1机器,应为其分配尽可能大的分区。 <br>
如果是从CD(或其它手工安装方式)安装系统,则以上所有分区都能够手工创建。我测试安 装Firewall-1系统时用的kickstart配置文件(ks.cfg)文件中定义了如下分区: <br>
part / --size 200 <br>
part swap --size 128 <br>
part /usr --size 1000 <br>
part /var --size 200 <br>
part /opt --size 1 <br>
--grow 注意在定义/opt分区时"--grow"参数的使用,它使该分区使用磁盘的所有剩余空间。 <br>
<br>
安装Firewall-1前做一下配置: <br>
* 编辑/etc/inetd.conf文件,禁用所有不需要的服务。通常我是把该文件中所有的服务都 禁用。对于telnet,可用OpenSSH替代。 <br>
* 运行ntsysv关闭任何不需要的服务。特别地,Firewall-1系统不应该运行大多数的标准服 务。例如我把除了crond、network、random、sshd和syslog以外的其它服务都关闭了。<br>
* 重启系统,运行"netstat -a"命令查看该机器还打开了什么端口。如果发现你不期望或不 清楚的开放端口,就应该仔细分析研究了。<br>
* 确保所有网卡都被安装且正常工作(可使用"netconf"程序),和路由表设置正确。在这 里,通常可以通过"ping"命令来确保系统的网络功能正常。这样使后面可能的问题调试更加 简单些。 <br>
<br>
<br>
安装Firewall-1 <br>
cd /cdrom/cdrom0<br>
./InstallU <br>
* 读取和接受许可协议。 <br>
* 选择安装方式。可选项为(1) VPN-1 & FireWall-1 Stand Alone Installation(统一安 装)和 (2) VPN-1 & FireWall-1 Distributed Installation(单独安装)。对于单一型 的防火墙,应该选择选项(1)。如果采用分布式防火墙并由防火墙管理控制台管理,可以 选择选项(2)。请确保你拥有足够的Firewall-1许可证! <br>
* 选择一个Firewall-1模块。可选项为(1) VPN-1 & FireWall-1 - Limited hosts (25, 50, 100, 250)、(2) VPN-1 & FireWall-1 - Unlimited hosts 和 (3) VPN-1 & FireWall-1 - SecureServer。如果你有无限制IP地址的许可证,应该选择选项(2)。如果 你的许可证是有IP地址限制的,请选择选项(1)。<br>
* Do you wish to start VPN-1 & FireWall-1 automatically from /etc/rc.d/rc3.d and /etc/rc.d/rc5.d (y/n) [y] ? 此处应回答y(yes)。 * 配置许可证。不要在这里增加任何许可证,而应该使用"fw putlic"命令。 * 设置系统管理员。在这里应该增加至少一名系统管理员(例如"fwadmin"用户)及其口 令。另外应该为该系统管理员赋予写("W")权限。 <br>
* 配置GUI客户。在这里应该增加至少一个GUI客户,即Firewall-1管理工作站的IP地址。<br>
* 配置SMTP服务顺。Firewall-1提供发送报警电子邮件的功能。如果希望使用该功能,就需 要在这里进行相应配置。<br>
* 配置SNMP extension。出于安全方面的考虑,不推荐在Firewall-1激活SNMP extension。 然而在可管理网络环境中也许需要该功能支持。<br>
* 配置用户组。它允许设置除root外该组中的用户能够启动或停止Firewall-1软件。不推荐。<br>
* 配置IP转发。它允许在启动时禁止IP转发选项。推荐使用该选项。 <br>
* 配置缺省过滤器。它允许在启动时使Firewall安装缺省的过滤器。建议选择(N),因为该 功能似乎会对网络堆栈的正常工作有影响。<br>
* 配置随机数池(Random Pool)。Firewall-1使用在这里输入的随机字符串来对随机数池进 行初始化。 <br>
* 启动Firewall-1。此时可能会出现一条错误消息:“FW-1: only 25 internal hosts allowed”,因为此时还未安装Firewall-1许可证。 <br>
<br>
在Firewall-1安装后,应该执行如下任务: <br>
* 立刻退出登录并再次登录。Firewall-1的安装程序会在/etc/profile.d中安装一些额外的 脚本,以使缺省路径中包含Firewall-1可执行程序(/etc/fw/bin)的路径。退出登录并 再次登录就能正确设置缺省路径了。<br>
* 安装Firewall-1许可证。使用Firewall-1许可证书电子邮件中的命令。<br>
* 登录到管理工作站上,安装Check Point管理客户,运行策略编辑器,然后连接到防火墙。<br>
* 创建网络对象和规则! <br>
<br>
Firewall-1具有从单个管理模块控制多台防火墙的功能。在讨论之前,先解释几个概念: <br>
* 管理工作站。这是运行Check Point管理软件的Windows NT或Windows 2000工作站。它允 许用户浏览、编辑和删除防火墙规则,和与Firewall-1管理模块通讯。 <br>
* Firewall-1管理模块。这是一个运行在一台或多台Firewall-1系统中的"fwm"守护进程。 它接受来自管理工作站的连接,接受规则的更新,和在一个或多个执行模块中进行分发。<br>
* 执行模块。这是用于执行规则集的"fwd"守护进程和"fwmod.2.2.x"内核模块。它运行于互 联网网关上。 <br>
<br>
通常都是在同一台机器(互联网网关)上运行Firewall-1管理模块(fwm)和执行模块。然而 这却不是必须的,特别在有多台互联网网关,或者多个信任网络之间的多台网关的情况下。 <br>
在安装过程中会提示两种安装方式,它们是:<br>
* VPN-1 & FireWall-1 Stand Alone Installation(统一安装)<br>
* VPN-1 & FireWall-1 Distributed Installation(单独安装) <br>
<br>
Firewall-1统一安装方式在同一台机器上统一安装管理模块和执行模块。单独安装则允许指 定其中之一模块,或两模块都安装。 <br>
例如,X公司在美国拥有一个广域网络。WAN中大多数的网站通过帧中继连接,而在San Francisco和New York的两个节点各有互联网连接。此时就可能需要单独安装方式:在New York节点安装管理模块和执行模块;在San Francisco节点仅安装执行模块。这样可从中央 管理控制台控制这两台防火墙,且仅能连接到New York防火墙来同时更新防火墙规则集。<br>
一定要确保在安装Firewall-1前选择正确的安装方式。如果选择了统一安装方式,则当试图 在多个执行模块中应用一个规则集时会产生错误!因此事前必须对网络的结构和互联网连接 方式有足够的了解。 <br>
<br>
在Linux安装防火墙模块之前(或刚安装完之后),应在Windows系统安装Firewall-1 GUI。 只需将光盘插入光盘驱动器中,根据自动运行的安装程序的指示操作即可。 如果安装程序没有自动启动,则可手工运行它。(位于光盘的\windows\CPMgmtClnt-41目录 下的SETUP.EXE程序。) <br>
文字 <br>
<br>
发表于 2003-12-26 11:58:35 | 显示全部楼层

Re:checkpoint安装

现在NG的版本不需要在线注册的,大家只要有NG的光盘,不需要安装什么操作系统,你只需要用光盘启动电脑就可以安装一个NG了,它会先安装一个简化版本的NG的,不过光盘需要是那种完整版本的,不能是for win,for solaris的,NG之可以在linux7.3上面安装的,不可以在x86的solaris上面安装,可以在Sun自己的机器上面安装的。
发表于 2006-8-16 10:45:29 | 显示全部楼层
Checkpoint确实强大,但操作也相对复杂,还是ISA2004用的顺手些~
发表于 2006-8-16 11:44:44 | 显示全部楼层
不是同一概念。
ISA是属于应用层防火墙,每个客户端请求都是由防火墙代理完成的,所以消耗内存非常大。
CP是属于状态检测防火墙既理解传输层连接,又理解应用层连接,而不仅仅是了解分组。
回2楼,虽然CP可以直接安装使用,如不注册也可使用15天,但仍需要在线注册你的license,并且license是帮定IP的。
发表于 2006-8-24 12:23:16 | 显示全部楼层
是的.CP如果不输入License的话,可以使用全部的功能15天,然后必须要输入License了.至于License一般都是代理商给你的申请的,而且你可以自己到CP的官方网站申请一个账号,然后让代理商把产品转到你的账号上面来,这样License就可以自己从上面下了.
发表于 2012-3-17 11:52:57 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
您需要登录后才可以回帖 登录 | 会员注册

本版积分规则

小黑屋|手机版|Archiver|邮件技术资讯网    

GMT+8, 2019-9-20 07:49

Powered by Discuz! X3.2

© 2001-2016 Comsenz Inc.

本论坛为非盈利中立机构,所有言论属发表者个人意见,不代表本论坛立场。内容所涉及版权和法律相关事宜请参考各自所有者的条款。
如认定侵犯了您权利,请联系我们。本论坛原创内容请联系后再行转载并务必保留我站信息。此声明修改不另行通知,保留最终解释权。
*本论坛会员专属QQ群:邮件技术资讯网会员QQ群
*本论坛会员备用QQ群:邮件技术资讯网备用群

快速回复 返回顶部 返回列表